一种基于工业控制协议的网络隔离装置制造方法
【专利摘要】本实用新型公开了一种网络隔离装置，旨在提供一种在工控系统中能阻断生产执行层到工业控制层网络的潜在通信路径，对正向数据提供带校验的单向通信，保证传输在线、实时和连续，还能提高工控系统网络边界安全强度的基于工业控制协议的网络隔离装置。本实用新型包括工业控制层服务器（1）和生产执行层服务器（2），所述工业控制层服务器（1）包括内网主板（3），所述生产执行层服务器（2）包括外网主板（4），所述内网主板（3）与所述外网主板（4）通过单向光纤（5）相连接，数据只能由所述内网主板（3）传输给所述外网主板（4）。本实用新型应用于工业控制的【技术领域】。
【专利说明】-种基于工业控制协议的网络隔离装置
【技术领域】
[0001] 本实用新型涉及一种网络隔离装置，特别涉及一种基于工业控制协议的网络隔离 装直。
【背景技术】
[0002] 工业控制系统是由各种自控组件以及对实时数据进行采集、监测的过程控制组件 组成的系统，我国超过百分之八十的关键基础设施依靠工业控制系统来实现自动化作业， 工业控制网络已是国家安全战略的重要组成部分，一旦工业控制网络信息安全出现漏洞， 将对工业生产运行和国家经济安全造成重大隐患，因此，我国各级政府部门高度重视，强调 工业控制系统信息安全事关工业生产运行、国家经济安全和人民生命财产安全，必须切实 加强工业控制网络信息安全管理。
[0003] 目前在通用工业控制系统网络安全防护中，采用的技术防护措施比较少，且没有 形成系统体系的方式进行总体防护，随着工业控制系统的管控一体化，使得工业控制系统 与传统IT管理系统以及互联网相连通，内部也越来越多地采用了通用软件、通用硬件和通 用协议，直接面对来自外界的种种威胁，增加了工业控制网络信息的安全隐患。同时工业控 制行业用户的安全意识不足，在系统设计之中未考虑系统整体安全设计，存在只重视功能 实现，不重视安全的现象，而且在运行维护中对安全管理也不够重视，增加了工业控制系统 遭受病毒、木马攻击的可能性。
[0004] 目前，生产管理系统与控制系统共同处于生产控制网络中，彼此支持信息互通，没 有逻辑隔离和信息检测措施。这种做法存在来自互联网或其它媒介的病毒或木马以经营管 理网络为基地通过防火墙对生产控制网络发动攻击的信息安全隐患。 实用新型内容
[0005] 本实用新型所要解决的技术问题是克服现有技术的不足，提供了一种在工控系统 中能阻断生产执行层到工业控制层网络的潜在通信路径，对正向数据提供带校验的单向通 信，保证传输在线、实时和连续，还能提高工控系统网络边界安全强度的基于工业控制协议 的网络隔离装置。
[0006] 本实用新型所采用的技术方案是：本实用新型包括工业控制层服务器和生产执行 层服务器，所述工业控制层服务器包括内网主板，所述生产执行层服务器包括外网主板，所 述内网主板与所述外网主板通过单向光纤相连接，数据只能由所述内网主板传输给所述外 网主板。
[0007] 所述基于工业控制协议的网络隔离装置还包括与所述内网主板相连接的内网接 口、与所述外网主板相连接的外网接口、电源接口及与所述电源接口相连接的电源，所述内 网主板和所述外网主板均与所述电源接口相连接，所述电源接口和所述电源之间设置有电 源切换器。
[0008] 所述内网主板包括内网CPU及内网内存，所述外网主板包括外网CPU及外网内存。
[0009] 所述内网接口包括两个内网网口和两个内网光口。
[0010] 所述外网接口包括两个外网网口和两个外网光口。
[0011] 所述基于工业控制协议的网络隔离装置还包括与所述内网主板相连接的控制口 I及与所述外网主板相连接的控制口 II。
[0012] 所述内网主板与所述外网主板之间还设置有工控协议应用层数据检验模块。
[0013] 所述工业控制层服务器和所述生产执行层服务器之间还设置有数据管理模块。
[0014] 所述数据管理模块包括存储介质及控制开关。
[0015] 所述工业控制层服务器和所述生产执行层服务器之间还设置有管理与配置模块 和日志管理模块。
[0016] 本实用新型的有益效果是：由于本实用新型采用了单向传输数据的设计，本实用 新型包括工业控制层服务器和生产执行层服务器，所述工业控制层服务器包括内网主板， 所述生产执行层服务器包括外网主板，所述内网主板与所述外网主板通过单向光纤相连 接，数据只能由所述内网主板传输给所述外网主板，阻断网络的逻辑连接，隔离传输机制具 有不可编程性，网络隔离装置支持工控协议OPC/Modbus-Tcp/ DNP3. 0透明接入，为工控系 统网络提供一道绝对安全的大门，阻断外部应用程序直接建立TCP联接，从而保证了生产 执行层及工业管理层网络的安全，所以，本实用新型在工控系统中能阻断生产执行层到工 业控制层网络的潜在通信路径，对正向数据单向通信，保证传输在线、实时和连续，还能提 高工控系统网络边界安全强度。
[0017] 另外，由于所述内网主板与所述外网主板之间还设置有工控协议应用层数据检验 模块，工控协议应用层数据检验模块能对正向数据提供带校验的单向通信，具备了对数据 的审查以及检验功能，数据不具有攻击及有害的特性。
【专利附图】
【附图说明】
[0018] 图1是本实用新型的部分结构示意图；
[0019] 图2是本实用新型中的工作原理结构示意图；
[0020] 图3是本实用新型在与外围设备的连接结构示意图。
【具体实施方式】
[0021] 如图1和图2所示，本实用新型包括工业控制层服务器1和生产执行层服务器2， 所述工业控制层服务器1包括内网主板3,所述生产执行层服务器2包括外网主板4,所述 内网主板3与所述外网主板4通过单向光纤5相连接，数据只能由所述内网主板3传输给 所述外网主板4。在本实施中，所述基于工业控制协议的网络隔离装置还包括与所述内网主 板3相连接的内网接口 6、与所述外网主板4相连接的外网接口 7、电源接口 8及与所述电 源接口 8相连接的电源9,所述内网主板3和所述外网主板4均与所述电源接口 8相连接， 所述电源接口 8和所述电源9之间设置有电源切换器10。使用时，所述内网接口 6与内网 相连接，所述外网接口 7与外网相连接。
[0022] 所述内网主板3包括内网CPU31及内网内存32,所述外网主板4包括外网CPU41 及外网内存42。
[0023] 所述内网接口 6包括两个内网网口 61和两个内网光口 62,在本实施例中，两个所 述内网网口 61和内网网络数据入口相连，。
[0024] 所述外网接口 7包括两个外网网口 71和两个外网光口 72,两个所述外网网口 71 与外网网络数据接口相连，。
[0025] 所述基于工业控制协议的网络隔离装置还包括与所述内网主板3相连接的控制 口I 11及与所述外网主板4相连接的控制口II 12。
[0026] 所述内网主板3与所述外网主板4之间还设置有工控协议应用层数据检验模块 13。
[0027] 所述工业控制层服务器1和所述生产执行层服务器2之间还设置有数据管理模块 14, 所述数据管理模块14用于将获取网络数据及分析结果递交到主计算机进行后台处理。
[0028] 所述数据管理模块14包括存储介质141及控制开关142。
[0029] 所述工业控制层服务器1和所述生产执行层服务器2之间还设置有管理与配置模 块15和日志管理模块16,所述管理与配置模块15用于配置所述网络隔离装置，设置通信链 路规则、通信协议、装置地址。所述日志管理模块16用于记录通过装置进入内网的应用数 据及未通过装置而被丢失的应用数据进行完整的记录，发送到指定日志服务器，以便事后 审计。
[0030] 在本实施例中，所述控制口I 11、所述控制口II 12、所述管理与配置模块15均和外 接终端配置计算机相连，所述日志管理模块16与外接日志管理服务器相连。
[0031] 本实用新型采用安全固化的LINUX操作系统，内核中只包含用户管理、进程管理 和基本的网络接口，剔除了 TCP/IP协议栈和其它不需要的所有系统服务，提高了系统抗攻 击的能力，保证系统的安全最大化。本实用新型支持多种接入方式以适用于不同的运行环 境，同时它支持双机热备，以延长平均无故障时间，维持系统更高的可用性，装置具备高速 通信带宽，不会成为数据传输的瓶颈。本实用新型采用两块独立的所述内网主板3与所述 外网主板4,分别接入工业控制层和生产执行层网络，支持OPC/Modbus-Tcp/ DNP3. 0工控 协议应用层的深度分析与数据过滤；各自完成与0PC服务器和0PC客户端的通信；工控协 议应用层数据检验模块通过对opc/ Modbus-Tcp /DNP3.0协议的深度检查，对工业网络中 的数据指令进行分析与控制，大大增强网络防御能力，杜绝异常报文对正常生产秩序的影 响，使工业生产网络变得安全可靠。同时所述内网主板3与所述外网主板4之间采用单向 光通信技术实现安全隔离，在保证应用层数据正确传输的前提下阻断网络层连接，保证了 工控系统网络的安全。
[0032] 本实用新型物理隔离阻断了网络的所有连接，隔离、阻断了网络的连通。网络被隔 离、阻断后，工业管理层与生产执行层之间只有通过所述单向光纤5进行单向通信，信道不 可逆，从而实现阻断网络直接连接，有效隔离阻断潜在攻击的连接。在通信时采用阻断网络 逻辑连接，TCP/IP协议被剥离，将原始数据非网络方式传送。其中包括一系列的阻断特征， 如没有命令，没有协议，没有TCP/IP连接，没有应用连接，没有包转发，只有文件"摆渡"，对 固态介质只有读和写两个命令。在此同时，提供了双机互备的功能与需求，在运行途中，一 旦出现故障，可自动迅速地切换到与之互备的相同设备上，保证了数据传输的稳定性。有效 阻截黑客对保护网络攻击。
[0033] 本实用新型的工作过程如下：
[0034] 如图3所示，两个所述内网网口（61)及两个所述内网光口（62)与工业控制层网络 的数据入口相接，当工业控制层网络的数据需要传输到生产执行层时，网络隔离装置通信 模块主动向工业控制层服务器数据交换代理发起非TCP/IP协议的数据连接请求，并发出 "写"命令，将写入开关合上，并把所有的通信协议剥离，将原始数据写入存储介质141。在 写入之前，根据不同的协议应用（包括opc、Modbus-Tcp、DNP3.0)，所述工控协议应用层 数据检验模块13会对数据进行必要的完整性、安全性检查，比如对数据规则、病毒和恶意 代码进行检查等；一旦数据完全写入网络隔离装置的存储介质141，开关立即打开，中断与 工业控制层服务器的连接。转而发起对生产执行层服务器的非TCP/IP协议的数据连接请 求，当生产执行层服务器收到请求后，发出"读"命令，将隔离网闸存储介质141内的数据导 向生产执行层服务器。生产执行层服务器收到数据后，按TCP/IP协议重新封装接收到的数 据，交给应用系统，完成了工业控制层到生产执行层的信息交换。
[0035] 本实用新型应用于工业控制的【技术领域】。
[0036] 虽然本实用新型的实施例是以实际方案来描述的，但是并不构成对本实用新型含 义的限制，对于本领域的技术人员，根据本说明书对其实施方案的修改及与其他方案的组 合都是显而易见的。
【权利要求】
1. 一种基于工业控制协议的网络隔离装置，包括工业控制层服务器（I)和生产执行层 服务器（2 )，其特征在于：所述工业控制层服务器（1)包括内网主板（3 )，所述生产执行层服 务器（2)包括外网主板（4)，所述内网主板（3)与所述外网主板（4)通过单向光纤（5)相连 接，数据只能由所述内网主板（3 )传输给所述外网主板（4 )。
2. 根据权利要求1所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 基于工业控制协议的网络隔离装置还包括与所述内网主板（3)相连接的内网接口（6)、与 所述外网主板（4)相连接的外网接口（7)、电源接口（8)及与所述电源接口（8)相连接的电 源（9)，所述内网主板（3)和所述外网主板（4)均与所述电源接口（8)相连接，所述电源接口 (8)和所述电源（9)之间设置有电源切换器（10)。
3. 根据权利要求2所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 内网主板（3)包括内网CPU(31)及内网内存（32)，所述外网主板（4)包括外网CPU(41)及 外网内存（42)。
4. 根据权利要求2所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 内网接口（6)包括两个内网网口（61)和两个内网光口（62)。
5. 根据权利要求2所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 外网接口（7)包括两个外网网口（71)和两个外网光口（72)。
6. 根据权利要求2所述的一种基于工业控制协议的网络隔离装置，其特征在于： 所述基于工业控制协议的网络隔离装置还包括与所述内网主板（3)相连接的控制口 I(11)及与所述外网主板（4)相连接的控制口II(12)。
7. 根据权利要求1至6任一项所述的一种基于工业控制协议的网络隔离装置，其特征 在于：所述内网主板（3)与所述外网主板（4)之间还设置有工控协议应用层数据检验模块 (13)。
8. 根据权利要求1所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 工业控制层服务器（1)和所述生产执行层服务器（2)之间还设置有数据管理模块（14)。
9. 根据权利要求8所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 数据管理模块（14)包括存储介质（141)及控制开关（142)。
10. 根据权利要求1所述的一种基于工业控制协议的网络隔离装置，其特征在于：所述 工业控制层服务器（1)和所述生产执行层服务器（2 )之间还设置有管理与配置模块（15 )和 日志管理模块（16)。
【文档编号】H04L12/40GK204089849SQ201320866566
【公开日】2015年1月7日 申请日期:2013年12月26日 优先权日:2013年12月26日
【发明者】刘智勇 申请人:珠海市鸿瑞信息技术有限公司